奇安信X实验室发现并分析了Mirai家族的新变种Mirai.Nomi，这是一个时隔多年再次出现的、使用DGA（域名生成算法）的Mirai变种。该样本具有魔改的UPX壳、基于时间的DGA以及多种加密和哈希算法。研究人员通过分析样本，发现了与Mirai.Nomi相关的历史样本，包括未使用DGA的版本以及漏洞扫描器和远控样本。目前，Mirai.Nomi的攻击活动尚不活跃，可能还处于发展阶段。

⏱️ Mirai.Nomi是一个使用DGA的Mirai变种，上一个使用DGA的Mirai变种出现于2016年。该变种于2024年3月被捕获。

🛡️ Mirai.Nomi样本具有魔改UPX壳，修改了UPX魔术头并异或了原始载荷，增加了分析难度。

🔑 Mirai.Nomi使用与时间相关的DGA，并加入了验证机制。它使用当前时间戳除以604800作为DGA的种子，这导致DGA的种子每7天变化一次。如果获取时间失败，种子将被赋值为"9999"。

⚙️ Mirai.Nomi使用多个加密算法和哈希算法，包括AES、CHACHA20和MD5，以增强其隐蔽性和安全性。

📡 Mirai.Nomi样本中硬编码了多个公共NTP服务器IP地址，用于获取时间戳。

原创 奇安信X实验室 2024-03-19 10:32 北京

Mirai家族作为botnet的常青树，存在众多变种，但极少出现使用DGA的Mirai变种，据我们观测，上一个

Mirai家族作为botnet的常青树，存在众多变种，但极少出现使用DGA的Mirai变种，据我们观测，上一个使用DGA（Domain Generation Algorithm）的Mirai变种出现于2016年。2024年3月，我们捕获到了新的可疑ELF样本，通过分析得知是另一个使用DGA的Mirai变种，分析关联的历史样本，我们不仅发现了没有使用DGA的版本（2024.02），还发现了漏洞扫描器和远控样本（2024.01），这引起我们的极大兴趣。根据下载脚本中的版本信息，我们姑且将其命名为Mirai.Nomi。

Mirai.Nomi样本具有以下特点：

魔改UPX壳（修改UPX魔术头、异或原始载荷）

使用时间相关的DGA并加入验证机制

使用多个加密算法、哈希算法（AES、CHACHA20、MD5）

Mirai.Nomi样本中硬编码了多个公共的NTP IP，获取当前，将时间戳与604800整除，作为DGA的种子。这意味着时间种子的变化周期为7天，若获取失败，种子被赋值为"9999"

从我们的数据看当前Mirai.Nomi的攻击活动并不是很活跃。也许还处于发展阶段

关于本文的详细分析，清点击下方阅读全文

阅读原文

跳转微信打开